本文是一篇针对少样本学习（Few-Shot Learning, FSL）在网络入侵检测（NIDS）中应用的系统性文献综述。研究背景在于：基于异常的 NIDS 是防御体系的第一道防线，但要让检测系统识别新型攻击，需要大量带标签的攻击样本，而现实中这类标注数据极其稀缺（新攻击类型刚出现时往往只有极少样例）。少样本学习通过在每类仅几个样本的条件下学习，被视为缓解该问题的可行路径。然而现有研究在方法选择、数据集、实验参数和评估协议上差异极大，导致结论难以横向比较，也无法判断哪些方案真正可落地。作者采用类 PRISMA 2020 的系统性综述流程，检索 ACM Digital Library、IEEE Xplore 和 Scopus 三大数据库，初步获得 1,358 条记录，经过筛选、去重与质量过滤后最终保留 21 篇研究。作者对这些研究使用的 FSL 方法、数据集和实验参数进行分类归纳，并对比其报告的性能指标。主要发现包括：元学习（meta-learning）与卷积神经网络（CNN）是最常见的技术路线，分别出现在 8 篇和 10 篇研究中；多数研究在每类不超过 5 个样本的条件下评估（具体设置差异较大）；CIC-IDS2017 与 CSE-CIC-IDS2018 是最常用的评测数据集。作者同时指出关键的可复现性缺陷：大量研究缺失关键超参数说明且未公开源代码，使得结果难以复现，也无法在不同方法之间做直接、公平的比较。该综述的价值在于为后续研究提供了方法和评测协议的统一视角，并明确指出了当前 FSL-NIDS 领域在标准化基准、参数报告和开源复现方面的空白。适合入侵检测研究者、数据集与评测基准建设者，以及在真实环境中部署异常检测系统的安全工程师阅读。

本文提出一种名为 DUPIN 的新型学习型攻击取证方法。其核心思路是：先在海量的审计事件（以溯源图形式表示）上进行无监督预训练，使模型学习正常系统行为和通用结构模式；随后进入小样本学习阶段，仅利用少量带标注的攻击样例即可完成微调，从而获得针对特定攻击活动的检测能力。作者在最多 38-52 天的审计日志（总计 7.3TB）上预训练 DUPIN，并在来自四个不同数据源的 25 个 APT（高级持续性威胁）活动中与多种基线方法进行对比评估。实验表明，DUPIN 在仅需少量标注样本的情况下，能够有效提升攻击检测能力，实现了可扩展的评估流程。该方法的主要贡献在于：将无监督预训练与小样本学习结合，缓解了传统监督学习方法对大量人工标注攻击样本的依赖，同时利用溯源图结构捕捉系统级因果关系，提高了对复杂攻击链的取证分析能力。本文适合从事入侵检测、攻击取证、溯源分析和机器学习安全应用的研究人员阅读。

边界网关协议（BGP）作为互联网事实上的域间路由协议，面临不断涌现的安全威胁，严重影响互联网可靠性。现有的基于机器学习的BGP威胁检测方法需要大量标注数据和专家参与，成本高且劳动密集，同时无法充分利用互联网上持续生成的海量未标注BGP数据。本文提出FIRE（Few-Shot Inter-Domain Routing Threat Detection with Large-Scale Multi-Modal Pre-Training），一种利用大规模多模态预训练实现少样本域间路由威胁检测的方法。FIRE通过设计领域特定的预训练任务，从大规模未标注BGP数据中获取丰富的BGP隐式知识，从而支持少样本学习。实验表明，FIRE仅需少量标注样本即可精确识别BGP威胁，例如在路由泄漏检测中，仅用8个事件进行微调即可达到93.2%的精确率。该方法降低了数据标注和专家知识的需求，为BGP安全检测提供了高效、低成本的解决方案。

该论文针对 Web 服务器日志的取证分析需求，提出了一种名为 CEF-Log 的上下文增强少样本思维链提示策略，用于大语言模型（LLM）。传统机器学习方法在日志检测中常被视为“黑箱”，难以提供符合法律要求的人类可读解释。CEF-Log 通过嵌入专家调查方法，设计了一个结构化的五步推理模板，引导模型学习如何分析日志，而非记忆特定模式。实验基于 CSIC 2010 数据集，仅使用四个示例便达到了 0.99 的 F1 分数，样本效率相比其他基于提示的方法提升了 10 倍。此外，论文还引入了新数据集 ForenWebLog，包含真实攻击和多步攻击序列，用于全面评估。定性分析表明，CEF-Log 生成的解释可追溯、准确，适用于取证文档，解决了传统 ML 方法的“黑箱”问题。该研究适合安全分析师、取证调查人员以及 AI 安全研究者阅读。

该论文提出了一种名为 AuthentiSense 的可扩展行为生物特征身份验证方案，专门针对移动平台设计。传统的一次性身份验证技术（如密码、指纹、面部识别）存在被窃取或模仿的风险，且一旦设备解锁后无法持续保护用户隐私。为弥补这一缺陷，基于行为生物特征的连续身份验证方法应运而生。然而，现有方案要么无法动态适应用户基数的变化（即用户无关性差），需要重新训练模型，要么难以在数百万用户规模下高效运行。AuthentiSense 通过引入少样本学习技术（具体为孪生网络 Siamese Network）解决了这些挑战。该系统仅利用用户与移动应用交互时产生的运动模式数据（加速度计、陀螺仪、磁力计），无需人工特征工程或大量训练数据。该方法的核心创新在于其用户无关性：模型无需针对新增用户重新训练，只需少量行为样本（例如 3 个样本）即可完成注册和验证，从而支持大规模用户场景。论文通过系统性测量实验评估了多个参数的影响，包括身份验证所需的交互时间（仅需 1 秒）以及 n-shot 验证（与注册样本的比较次数）对识别性能的影响。令人瞩目的是，在 few-shot 设置下（每个用户仅 3 个样本），AuthentiSense 的 F1 分数高达 97%，误接受率（FAR）为 0.023，误拒绝率（FRR）为 0.057。该方案实现了高精度、低延迟和可扩展性，为移动设备上的连续身份验证提供了一种实用且高效的新途径。

网络入侵检测系统（NIDS）通过检测恶意流量并交由安全运营中心调查，在保护网络中发挥关键作用。现有最先进的方法利用监督机器学习训练分类模型识别已知网络攻击，但这些模型需要大量标注数据集，且在较小数据集上训练时性能较差。为解决这一缺陷，异常检测模型学习正常流量分布并将不符合的流量标记为恶意——虽然不需要恶意样本训练，但误报率高，实用性低。因此，当特定攻击类别的标注实例不足时（例如新建立网络或出现未见过的攻击类型），网络可能特别脆弱。本文提出使用三元组网络（triplet network），结合在线三元组挖掘（online triplet mining）和K近邻（KNN）分类器，实现小样本（few-shot）分类，从而在仅用有限恶意样本训练后即可进行有效入侵检测。作者探索了多种在线三元组挖掘算法，并通过一系列消融实验比较和评估模型设计选择，如推理算法和优化的距离度量。最终模型在小样本二分类和多分类任务中与现有最先进方法进行比较，结果表明：在每类仅用10个恶意样本训练时，所提方法性能与现有方法相当。该工作为网络攻击检测中标注数据稀缺场景提供了新思路。